Diario Tecnologico - Informe semanal de virus e intrusos

Dos de los ejemplares de códigos maliciosos al que hace referencia el informe sobre virus e intrusos que Panda Software publica esta semana, tienen como único objetivo la estafa y el robo en los ordenadores infectados, y los otros dos tienen funciones de rootkit, lo que es un claro reflejo de la nueva dinámica emprendida por el malware en los últimos tiempos.

Como muestra del modelo de negocio que ya está implementado y desarrollándose entre los hackers, vemos a Nabload.CC. Este troyano, que descarga otro troyano detectado como Banker.CJA desde una cierta página web, consigue evitar el firewall de Windows XP. De esta manera, logra acceder a Internet sin restricciones para realizar sus acciones.

El troyano Banker.CJA obtiene los datos de acceso a varias entidades bancarias online. Para ello, monitoriza si el usuario visita sitios web de bancos y si el usuario introduce sus datos, le impide acceder a la página web legítima. En su lugar muestra una página web falsificada que imita a la original.

Si el usuario introduce de nuevo sus datos en dicha página falsificada pensando que se trata de un error, Banker.CJA obtiene datos confidenciales, como el nombre de usuario y la contraseña. Después, envía la información que ha recogido a ciertas URL y el hacker podrá utilizar las cuentas bancarias gracias a los datos robados.

Otro código malicioso que también busca el beneficio económico es Briz.C, un troyano de tipo ladrón de contraseñas. Este troyano consta de varios componentes que son sucesivamente descargados de Internet. Estos componentes llevan a cabo diversas acciones, como detener y desactivar el firewall de Windows XP, impedir que pueda accederse a determinados sitios web relacionados con compañías antivirus, obtener contraseñas de cuentas de correo, sistemas bancarios y otros servicios online; etc.

Briz.C no se propaga automáticamente por sus propios medios, sino que precisa de la intervención de un usuario atacante para su propagación, tal y como ocurre con todos los troyanos. Esta característica es común a los ataques dirigidos, técnica estudiada y explicada por Panda Software en un White Paper que puede descargarse en la dirección www.pandasoftware.es/ataques.

Con respecto a los rootkits, PandaLabs informa sobre Gurong.A. Este código es un gusano e intenta descargar archivos desde varias direcciones IP. Estos archivos son copias del gusano, aunque no poseen muchas de sus funciones.

Gurong.A tiene algunas funciones típicas de rootkit, lo que le permitiría ocultar procesos, archivos y entradas del Registro de Windows. Esta situación es muy peligrosa, ya que los hackers podrían utilizarlo para esconder procesos que supongan un grave peligro para los usuarios infectados. Las tecnologías TruPrevent™ presentes en las soluciones de Panda Software fueron perfectamente capaces de detectar este código, por lo que la posibilidad de que sea empleado como rootkit queda definitivamente eliminada, sin necesidad de herramientas especiales contra rootkits.

El último código destacado en el informe es otra versión del ya veterano Bagle, en este caso la HX. Este gusano intenta desactivar numerosos servicios relacionados con aplicaciones antivirus y de seguridad. Una vez instalado, se conecta a varias páginas web para descargarse un archivo.

Uno de los archivos que se generan en el sistema infectado, m_hook.sys, es instalado como servicio, y es un rootkit que oculta los archivos y las entradas de registro creadas por Bagle.HX

Enlaces relacionados
www.pandasoftware.cl